Comment mettre un système d'IA en conformité avec l'AI Act

L'article 4 impose à tout fournisseur et déployeur de garantir un niveau suffisant de maîtrise de l'IA pour les personnes impliquées dans le fonctionnement et l'utilisation des systèmes d'IA. {{customerName}} doit vérifier que des programmes de formation et de sensibilisation sont en place, tant au niveau organisationnel qu'au niveau de chaque système.

L'article 5 définit les pratiques d'IA strictement interdites. {{customerName}} doit permettre de vérifier qu'aucun système d'IA de l'organisation ne tombe dans le champ de ces pratiques prohibées, et qu'un processus de détection des dérives est en place.

L'article 9 impose un système de gestion des risques itératif et documenté, couvrant l'ensemble du cycle de vie. {{customerName}} doit vérifier que les risques sont identifiés, les risques résiduels communiqués aux déployeurs, et que des mesures d'atténuation sont en place.

L'article 10 exige une gouvernance des données rigoureuse pour les systèmes d'IA à haut risque. {{customerName}} doit vérifier que la politique de gouvernance des données est documentée (fournisseur) et que les données d'entrée sont pertinentes et représentatives (déployeur).

L'article 11 impose la rédaction et la tenue à jour d'une documentation technique complète avant mise sur le marché. {{customerName}} doit vérifier que cette documentation existe (fournisseur) et que le déployeur a obtenu et suivi les instructions d'utilisation.

L'article 12 impose que les systèmes d'IA à haut risque permettent l'enregistrement automatique des événements tout au long de leur cycle de vie. {{customerName}} doit vérifier l'existence d'une politique de conservation des logs, le bon fonctionnement de la journalisation, et l'accessibilité des logs.

L'article 13 impose que les systèmes d'IA soient suffisamment transparents pour que les déployeurs puissent interpréter les sorties. {{customerName}} doit vérifier que les instructions d'utilisation sont complètes et que les risques résiduels sont communiqués.

L'article 14 impose un contrôle humain effectif pendant l'utilisation des systèmes d'IA à haut risque. {{customerName}} doit vérifier qu'une procédure d'escalade existe, que le système est conçu pour la supervision humaine, et que les superviseurs sont compétents.

L'article 15 exige un niveau approprié d'exactitude, de robustesse et de cybersécurité tout au long du cycle de vie. {{customerName}} doit vérifier les mesures de cybersécurité, les tests de précision et robustesse, et la résistance aux attaques adversariales.

L'article 17 impose aux fournisseurs de systèmes d'IA à haut risque de mettre en place un système de gestion de la qualité (QMS) couvrant l'ensemble des aspects du cycle de vie. {{customerName}} doit vérifier que ce QMS est documenté et mis en œuvre.

L'article 18 impose une conservation de la documentation pendant 10 ans minimum. {{customerName}} doit vérifier que la politique de rétention documentaire est en place.

L'article 19 impose la conservation des journaux générés automatiquement (minimum 6 mois). {{customerName}} réutilise les vérifications de l'article 12 (EX-006).

L'article 20 impose aux fournisseurs de prendre des mesures correctives immédiates et d'informer les parties concernées en cas de non-conformité. {{customerName}} doit vérifier l'existence de procédures de gestion des non-conformités et la traçabilité des actions correctives.

Les articles 21 et 26 par. 12 imposent la coopération avec les autorités compétentes. {{customerName}} doit vérifier qu'une procédure de coopération est en place et que la documentation est accessible.

L'article 47 impose au fournisseur d'établir une déclaration UE de conformité et de la conserver pendant 10 ans. {{customerName}} doit vérifier son existence et sa conservation.

L'article 48 impose le marquage CE sur les systèmes d'IA à haut risque. {{customerName}} doit vérifier que ce marquage est apposé.

L'article 49 impose l'enregistrement dans la base de données de l'UE avant mise sur le marché ou déploiement. {{customerName}} doit vérifier cet enregistrement.

L'article 50 impose des obligations de transparence pour TOUS les systèmes d'IA (pas seulement haut risque) : informer les utilisateurs qu'ils interagissent avec une IA, et marquer les contenus générés par IA.

L'article 26 par. 9 impose au déployeur d'utiliser les informations fournies par le fournisseur pour réaliser une analyse d'impact relative à la protection des données (DPIA/AIPD).

L'article 27 impose une analyse d'impact sur les droits fondamentaux (FRIA) avant tout déploiement de certains systèmes d'IA à haut risque. {{customerName}} doit vérifier que cette analyse est réalisée et notifiée.

Mise en place d'un système de surveillance post-commercialisation proportionné, avec collecte et analyse continue des données de performance.

Signalement des incidents graves aux autorités de surveillance dans les délais requis, avec enquête post-incident.

L'article 16(l) impose aux fournisseurs de s'assurer que le système d'IA à haut risque est conforme aux exigences d'accessibilité. {{customerName}} doit vérifier cette conformité.

L'article 43 définit les procédures d'évaluation de la conformité. {{customerName}} doit vérifier que la procédure appropriée a été suivie.

L'article 22 impose aux fournisseurs hors UE de désigner un mandataire dans l'Union. {{customerName}} doit vérifier cette désignation et les pouvoirs du mandataire.

L'article 25 définit les responsabilités tout au long de la chaîne de valeur. {{customerName}} doit vérifier que les responsabilités contractuelles sont claires et que le rôle de chaque acteur est analysé.

L'article 26 par. 1 impose au déployeur d'utiliser le système conformément aux instructions du fournisseur.

L'article 26 par. 4 impose au déployeur de veiller à la pertinence et représentativité des données d'entrée.

L'article 26 par. 11 impose d'informer les personnes physiques qu'elles sont soumises à l'utilisation d'un système d'IA à haut risque lorsque celui-ci prend ou facilite des décisions les concernant.

L'article 26 par. 7 impose d'informer les représentants du personnel et les travailleurs avant l'utilisation d'un système d'IA à haut risque sur le lieu de travail.

L'article 53 impose aux fournisseurs de modèles d'IA à usage général (GPAI) des obligations de documentation, transparence et conformité au droit d'auteur.

L'article 55 impose des obligations renforcées aux fournisseurs de modèles GPAI présentant un risque systémique : évaluations adversariales, atténuation des risques, signalement des incidents, et cybersécurité.

L'article 86 confère aux personnes affectées par une décision fondée sur un SIA haut risque (Annexe III, hors point 2) le droit d'obtenir une explication claire sur le rôle du système d'IA dans la décision et sur ses principaux éléments. Le déployeur doit mettre en place les moyens organisationnels et techniques pour répondre à ce droit. Ce droit est complémentaire à l'obligation d'information de l'article 26 par. 11 (EX-029) qui porte sur l'information préalable, tandis que l'article 86 porte sur l'explication a posteriori d'une décision spécifique.